{"id":102627,"date":"2021-12-15T21:36:51","date_gmt":"2021-12-15T19:36:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-openssl-3-0-1-s-ustraneniem-uyazvimosti"},"modified":"2021-12-15T21:36:51","modified_gmt":"2021-12-15T19:36:51","slug":"obnovlenie-openssl-3-0-1-s-ustraneniem-uyazvimosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/obnovlenie-openssl-3-0-1-s-ustraneniem-uyazvimosti","title":{"rendered":"Update van OpenSSL 3.0.1 met het verhelpen van een kwetsbaarheid","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Corrigerende versies van de cryptografische bibliotheek OpenSSL 3.0.1 en 1.1.1m zijn beschikbaar. De kwetsbaarheid (CVE-2021-4044) is verholpen in versie 3.0.1, en in beide versies zijn ongeveer een dozijn bugs opgelost. <\/p>\n
De kwetsbaarheid is aanwezig in de implementatie van SSL\/TLS-clients en heeft betrekking op het feit dat de libssl-bibliotheek negatieve waarden van foutcodes, die worden geretourneerd door de functie X509_verify_cert(), niet correct verwerkt. Deze functie wordt aangeroepen om het certificaat te controleren dat door de server aan de client is doorgegeven. Negatieve codes worden geretourneerd bij interne fouten, bijvoorbeeld wanneer er niet genoeg geheugen voor een buffer kan worden toegewezen. Bij het retourneren van een dergelijke fout zal een daaropvolgende aanroep van invoer-\/uitvoerende functies, zoals SSL_connect() en SSL_do_handshake(), resulteren in een onsuccesvolle be\u00ebindiging en de foutcode SSL_ERROR_WANT_RETRY_VERIFY, die alleen moet worden geretourneerd als de applicatie eerder SSL_CTX_set_cert_verify_callback() heeft aangeroepen. <\/p>\n
Aangezien de meeste applicaties SSL_CTX_set_cert_verify_callback() niet aanroepen, kan het optreden van de fout SSL_ERROR_WANT_RETRY_VERIFY verkeerd worden ge\u00efnterpreteerd en leiden tot een crash, een loop of andere ongewenste reacties. Het probleem vormt de grootste bedreiging in combinatie met een andere fout in OpenSSL 3.0, die leidt tot een interne fout bij de verwerking van certificaten zonder de extensie 'Subject Alternative Name', maar met bindingen aan namen in gebruiksbeperkingen. In dit geval kan een aanval leiden tot door applicaties afhankelijke anomalie\u00ebn bij de verwerking van certificaten en het opzetten van TLS-sessies. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"